《Wi-Fi 保护访问 2 (WPA2) 概述》由会员分享，可在线阅读，更多相关《Wi-Fi 保护访问 2 (WPA2) 概述（6页珍藏版）》请在金锄头文库上搜索。
1、Wi-Fi 保护访问 2 (WPA2) 概述发布日期： 2005年05月06日 | 更新日期： 2005年06月15日作者：网络专家有关所有“网络专家”专栏的列表和其它信息，请单击此处。本页内容简介WPA2 安全功能其它用于实现快速漫游的 WPA2 功能同时支持 WPA2、WPA 和 WEP 无线客户端支持 WPA2 所需执行的更改更多信息简介最早的 IEEE 802.11 标准提供了下列这组安全功能，用以保护无线 LAN 通信：两种不同的身份验证方法：开放式系统和共享密钥有线对等保密 (WEP) 加密算法完整性检查值 (ICV)（采用 WEP 加密，可提供数据完整性）随着时间的推移，这些安全
2、功能经证明无法对一般情况下的无线 LAN 通信，提供充分的保护。为了解决最早的 IEEE 802.11 标准的安全问题，运用了以下这些技术：基于 IEEE 802.1X 端口的网络访问控制标准是一种可用于执行 802.11 无线客户端身份验证的方法。 IEEE 802.1X 提供了每用户的身份识别和验证、扩展的身份验证方法以及（依据具体的身份验证方法）加密密钥管理动态的每工作站、每会议密钥决定和密钥重新生成。Wi-Fi 保护访问 (WPA) 是Wi-Fi 联盟 所采用的一种过渡标准，用于在 IEEE 802.11i 标准得到批准后，提供更安全的加密和数据完整性。WPA 支持通过 802.1X（
3、称作 WPA Enterprise）或结合预共享密钥（称作 WPA Personal）的身份验证、一种称为临时密钥完整性协议 (TKIP) 的新型加密算法、以及一种称为 Michael 的新型完整性算法。WPA 属于 802.11i 规范的一部分。IEEE 802.11i 标准已正式取代了有线对等保密 (WEP) 及最早的 IEEE 802.11 标准的其它一些安全功能。WPA2 是一种由 Wi-Fi 联盟授予的产品认证。Wi-Fi 联盟专门对无线设备与 802.11i 标准的兼容性进行认证。WPA2 认证旨在支持 802.11i 标准的其它尚未包含在支持 WPA 的产品中的强制性安全功能。与
4、 WPA 一样，WPA2 也提供了“Enterprise”（企业）和“Personal”（个人）这两种操作模式。Microsoft 已经发布了用于 Windows XP Service Pack 2 的 Wi-Fi 保护访问 2 (WPA2)/无线配置服务信息元素 (WPS IE) 更新。该更新程序可免费下载，用于更新 Windows XP Service Pack 2 中的无线客户端组件，以支持 WPA2。本文介绍了 WPA2 安全功能以及用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新所提供的 WPA2 支持。返回页首WPA2 安全功能用于 Win
5、dows XP Service Pack 2 的 WPA2/WPS IE 更新支持以下 WPA2 安全功能：WPA2 身份验证对于 WPA2 Enterprise，WPA2 要求执行两个阶段的身份验证：第一个阶段是开放式系统身份验证，第二个阶段则采用可扩展的身份验证协议 (EAP) 身份验证方法。对于没有远程身份验证拨入用户服务 (RADIUS) 基础结构的环境（比如：小型办公/家庭办公 SOHO 网络，WPA2 Personal 支持使用预共享密钥 (PSK)。WPA2 密钥管理与 WPA 一样，WPA2 要求根据 EAP 或 PSK 身份验证过程，确定相互的成对主密钥 (PMK)，并通过四
6、次握手 (4-Way Handshake)过程，计算成对的临时密钥。有关详细信息，请参见 Wi-Fi 保护访问数据加密与完整性。高级加密标准WPA2 要求支持使用 Counter Mode-Cipher Block Chaining (CBC)-Message Authentication Code (MAC) Protocol (CCMP)（计数器模式和密码块链消息身份验证代码协议）的高级加密标准 (AES)。AES 计数器模式一种块密码，可使用 128 位加密密钥，一次对多个 128 位数据块进行加密。CBC-MAC 算法可生成一个消息完整性代码 (MIC)，为无线帧提供数据来源验证和数据
7、完整性。包含在 WPA2 保护的无线帧并合并到加密和 MIC 计算中的一个 Packet Number 字段，提供了重播保护。AES 加密符合联邦信息处理标准 (FIPS) 140-2 的要求。返回页首其它用于实现快速漫游的 WPA2 功能当无线客户端使用 802.1X 执行身份验证时，会有一系列消息在无线客户端和无线访问点 (AP) 之间传送 ，以交换凭据。此消息交换会给连接过程造成延迟。当无线客户端从一个无线访问点漫游到另一个访问点时，延迟执行 802.1X 身份验证会导致产生明显的网络连接中断的情况，而与时间相关的流量（语音或视频数据流）的情况尤其严重。为了最小化因在无线访问点间漫游而导
8、致的延迟时间，WPA2 无线设备能够有选择地支持 PMK 缓存和预身份验证。PMK 缓存从一个无线访问点漫游到另一个访问点时，无线客户端必须与每个无线访问点一起执行完整的 802.1X 身份验证。WPA2 允许无线客户端和无线访问点缓存完整的 802.1X 身份验证的结果，这样当客户端漫游回已执行过身份验证的无线访问点时，就只需执行四次握手过程，并确定新的成对的临时密钥了。无线客户端在 Association Request 帧中包含了一个 PMK 标识符。该标识符是在最初的身份验证期间确定的，并与无线客户端和无线访问点的 PMK 缓存项目一起保存。PMK 缓存项目的保存时间有限，具体时间长度
9、可在无线客户端和无线访问点上进行配置。为了让使用单台交换机（充当 802.1X 身份验证器）的无线网络基础结构实现更快的转换速度，用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新会计算 PMK 标识符值，从而在连接到交换机的无线访问点间漫游时，可以重复使用同该交换机的 802.1X 身份验证所确定的 PMK。该方法称为 机会性的 PMK 缓存。有关使用注册表值控制 PMK 缓存行为的信息，请参阅用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新。预身份验证通过预身份验证，WPA2 无线客户端在与当前的无线访问点连
10、接的同时，可以有选择地同其有效连接范围内的其它无线访问点，执行 802.1X 身份验证。无线客户端会通过现有的无线连接，向其它无线访问点发送预身份验证流量。与无线访问点进行了预身份验证，并将 PMK 及其相关的信息保存在 PMK 缓存中之后，无线客户端在连接到已经与之进行过预身份验证的无线访问点时，仅需执行四次握手过程。支持预身份验证的 WPA2 客户端只能与在 Beacon 和 Probe Response 帧中公布其预身份验证能力的无线访问点，执行预身份验证。有关使用注册表值控制预身份验证行为的信息，请参阅用于 Windows XP Service Pack 2 的 WPA2/WPS IE
11、 更新。返回页首同时支持 WPA2、WPA 和 WEP 无线客户端WPA2 认证的无线设备也可兼容 WPA 和 WEP。可以在同一个环境中，同时运行 WPA2、WPA 和 WEP 无线设备。返回页首支持 WPA2 所需执行的更改实现 WPA2 支持，需要更改以下各项：无线访问点无线网络适配器无线客户端软件更改无线访问点借助 WPA，无线网络设备就可以通过固件更新进行升级，因为 WPA 安全功能利用了目前针对 WEP 设计的计算工具。然而，对于 WPA2，没有计算工具用以为 AES CCMP 执行更复杂的计算的无线访问点，就无法通过固件更新进行升级，而必须进行更换。通常，这类无线访问点的生产日期
12、较早，当时还不支持 802.11g 标准。而较新的无线访问点（比如那些支持 802.11g 标准的访问点）则可通过固件更新进行升级。请查阅无线访问点厂商的说明文档或网站，确定是要更换您的无线访问点，还是可以通过固件更新来支持 WPA2。如果只需要进行固件更新，那么从无线访问点厂商那里获取有关更新，并将其安装在无线访问点上。有关经过 WPA2 认证的无线访问点的信息，请参阅Wi-Fi 联盟认证的产品列表。更改无线网络适配器与无线访问点一样，无线网络适配器的更换与否取决于其是否具有计算工具来执行 AES CCMP。请查阅无线网络适配器厂商的说明文档或网站，确定是要更换您的无线网络适配器，还是可以通
13、过固件更新来支持 WPA2。如果只需要进行固件更新，那么从无线适配器厂商那里获取有关更新，并将其安装在无线网络适配器上。对于运行 Windows XP Service Pack 2 的无线客户端，必须获取一个经过更新的支持 WPA2 的网络适配器驱动程序。经更新的网络适配器驱动程序必须能够将适配器的 WPA2 功能传递给 Windows XP 无线自动配置。有关经过 WPA2 认证的无线网络适配器的信息，请参阅Wi-Fi 联盟认证的产品列表更改无线客户端程序必须更新无线客户端软件以便对 WPA2 身份验证选项进行配置。用于 Windows XP Service Pack 2 的 WPA2/WP
14、S IE 更新包含了对 WPA2 的支持，并修改了以下项目：“选择一个无线网络”对话框无线网络属性的“关联”选项卡。当您连接到支持 WPA2 的无线网络时，网络的类型在“选择一个无线网络”对话框中，显示为“WPA2”。具体例子见下图。在无线网络属性的“关联”选项卡上，“网络身份验证”下拉框多了几个附加选项：“WPA2”（用于 WPA2 Enterprise）和“WPA2-PSK”（用于 WPA2 Personal）。只有无线网络适配器及其驱动程序都支持 WPA2 时，才会出现上述选项。具体例子见下图。注意 用于 Windows Server 2003 SP1 的无线网络 (IEEE 802.11) 策略组策略扩展不支持对 WPA2 身份验证设置进行配置。返回页首更多信息有关 WPA2 和 Windows 中的 802.11 无线 LAN 技术支持的详细信息，请参考以下资源：用于 Windows XP Service Pack 2 的 WPA2/WPS IE 更新Windows Server 2003 无线网络网站
